Malware su Joomla e WordPress: cause e rischio di reinfezione
- Joomla
- 18 agosto 2015
Indice dei contenuti
Un sito Joomla o WordPress può contenere pagine spam, script abusivi o accessi nascosti senza mostrare una homepage diversa dal solito. La domanda utile non è soltanto “quale virus c’è?”, ma come è entrato l’attaccante e quali possibilità di accesso sono rimaste.
Per gestire l’emergenza segui il percorso su cosa fare subito con un sito hackerato. Questo approfondimento si concentra sulle possibili vie d’ingresso e sul rischio di reinfezione, distinguendo le ipotesi dalle cause dimostrate.
Come può entrare il malware in Joomla e WordPress
Tra le possibilità da verificare ci sono estensioni vulnerabili, credenziali sottratte, accessi hosting compromessi e codice personalizzato non sicuro. Versioni non mantenute possono lasciare problemi senza correzione, ma l’età di un componente non dimostra che sia stato il punto d’ingresso nell’incidente specifico.
| Possibile ingresso | Evidenze da cercare |
|---|---|
| Estensione vulnerabile | Versione esatta, avviso ufficiale e richieste compatibili nei log. |
| Credenziali sottratte | Accessi non riconosciuti e modifiche collegate nel tempo. |
| Codice personalizzato | Funzione esposta e gestione degli input o dei permessi. |
| Account hosting compromesso | Modifiche e accessi che coinvolgono anche altri servizi o siti. |
Firewall e filtri possono contribuire alla protezione. La loro presenza non esclude un incidente e la loro assenza non ne dimostra la causa. Se i log disponibili non consentono una ricostruzione, questa limitazione va documentata.
Quali conseguenze può avere un sito infetto
Nel contenuto originale erano descritti due interventi: un sito WordPress con link estranei nella sitemap e un sito Joomla con aperture intermittenti di pagine per adulti. Sono esempi di comportamenti osservati, non una regola sullo scopo di ogni attacco.
Altre conseguenze possibili includono pubblicazione di spam, phishing, invio abusivo di email e alterazione di dati. La presenza o l’assenza di un avviso Google non misura da sola l’estensione dell’incidente. Il provider può imporre limitazioni in base alle evidenze e alle proprie procedure, senza che esista un esito identico per ogni hosting.
Il caso dei testi giapponesi e cinesi nei risultati Google approfondisce una forma di spam legata a contenuti non autorizzati.
Perché il malware può tornare dopo una pulizia
La reinfezione può dipendere da un accesso rimasto attivo, una vulnerabilità non corretta o una copia ripristinata già compromessa. Può anche essere coinvolto un altro sito nello stesso account hosting. Ogni possibilità va verificata, senza attribuire automaticamente il problema al componente più vecchio.
Una sovrascrittura dei file del CMS può lasciare file aggiunti dall’attaccante. Una scansione esterna può non vedere una backdoor non richiamata dalle pagine visitate. Anche utenti, attività pianificate e configurazioni devono rientrare nel perimetro.
Non basta quindi ripetere la cancellazione dello stesso file: conserva le nuove evidenze, confrontale con la base ripristinata e verifica come sono state prodotte le modifiche successive.
Quali controlli cambiano tra Joomla e WordPress
Su WordPress occorre distinguere core, plugin, temi, componenti obbligatori, caricamenti e dati. La guida al malware WordPress: diagnosi e bonifica approfondisce questi passaggi.
Su Joomla il controllo comprende core, componenti, moduli, plugin, template e override, insieme a utenti e permessi. Per installazioni Joomla 3, la guida sul recupero di un sito Joomla 3 compromesso affronta anche il problema di una piattaforma fuori supporto. La migrazione deve essere pianificata e non coincide con una sostituzione indiscriminata dei file durante l’emergenza.
In entrambi i casi, il ripristino deve usare copie attendibili e includere una revisione degli accessi. Cambiare hosting è una decisione da motivare sull’infrastruttura e sulle evidenze; spostare file infetti può trasferire anche il problema.
Come impostare un intervento che riduca il rischio di reinfezione
Chiedi che siano documentati elementi rimossi, componenti ripristinati, accessi revocati, causa accertata e aspetti ancora incerti. Verifica le funzioni prima della riapertura e concorda controlli successivi su nuove modifiche, log e backup.
Se il malware ricompare, posso valutare un intervento di assistenza Joomla o assistenza WordPress che parta dal perimetro dell’incidente, anziché dalla sola rimozione del messaggio visibile.
